CVE-2026-82754 in ash_authentication_oauth2_server
Riassunto
di VulDB • 08/09/2026
La vulnerabilità di protezione inadeguata delle alternate path in ash-project ash_authentication_oauth2_server espone gli endpoint OAuth che modificano lo stato sotto un prefisso URL non previsto, aggirando i controlli limitati al prefisso canonico.
La funzione `oauth2_server_protocol_routes/1` in `AshAuthentication.Phoenix.Oauth2Server.Router` inoltra lo stesso `ProtocolRouter` sia con il prefisso `/oauth` che con il prefisso `/.well-known`. Phoenix forward rimuove il prefisso corrispondente prima dell'invio, quindi l'intera tabella delle rotte risponde sotto entrambi i mount point; di conseguenza, le operazioni POST /register, POST /token e POST /revoke sono raggiungibili come /.well-known/register, /.well-known/token e /.well-known/revoke. Controlli perimetrali quali regole WAF, limiti di frequenza (rate limits) o esenzioni dall'autenticazione configurati sui percorsi `/oauth`, oppure quelli che consentono l'accesso non autenticato a `/.well-known` come allow-list, non si applicano all'alias.
Questo problema interessa ash_authentication_oauth2_server: dalla versione 0.1.0 alla versione precedente la 0.3.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.